Cómo evitar filtraciones de datos empresariales a través de proveedores y terceros

• Alex De los Llanos Dueñas
• Marzo 2025

Mira, te voy a ser honesto. Muchas empresas creen que tienen todo bajo control cuando se trata de seguridad. Se preocupan por sus contraseñas, invierten en firewalls, entrenan a sus empleados para no caer en phishing… Y luego, sin darse cuenta, le abren la puerta a los ciberdelincuentes a través de sus propios proveedores.

Sí, así de absurdo es. Puedes hacer todo bien y aun así terminar con una filtración de datos porque alguien más no fue tan cuidadoso como tú. Es como si reforzaras todas las ventanas de tu casa, instalaras cámaras de seguridad y luego le dieras una copia de la llave a un vecino que deja la puerta abierta de par en par.

Y lo peor es que esto no es una teoría. Ha pasado antes y sigue pasando todo el tiempo. Grandes compañías han visto sus datos expuestos porque uno de sus proveedores no tenía las medidas adecuadas. Y si eso le pasa a las empresas gigantes con recursos infinitos, ¿qué te hace pensar que tu negocio está a salvo?

Pero tranquilo, que no se trata de entrar en pánico. Se trata de hacer las cosas bien. Vamos a hablar de cómo protegerte de los riesgos que representan los proveedores y terceros sin volverte paranoico en el intento.

A ver, piénsalo un momento. ¿Cuántas empresas externas tienen acceso a información de tu negocio? No hablo solo de las que manejan cosas obvias como la contabilidad o el software. Piensa en las agencias de marketing, en los consultores, en los servicios en la nube, hasta en la empresa que limpia tu oficina si tienen acceso a dispositivos conectados.

El problema es que muchas veces asumimos que esas empresas saben lo que están haciendo cuando se trata de seguridad. Confiamos en que protegen nuestros datos, en que tienen buenas prácticas, en que son responsables. Pero la verdad es que no siempre es así.

Hay proveedores que usan contraseñas ridículamente débiles. Otros que comparten credenciales entre empleados como si fueran caramelos. Algunos ni siquiera cifran la información que manejan. Y lo peor de todo: muchos ni siquiera saben que están cometiendo errores.

Los ciberdelincuentes lo saben y lo aprovechan. En lugar de intentar atacar directamente a una gran empresa que tiene seguridad robusta, buscan el eslabón más débil: un proveedor con menos medidas de protección.

Así es como han ocurrido filtraciones gigantescas. Un proveedor comprometido, y BOOM, datos expuestos. Y adivina quién queda como responsable ante los clientes, la prensa y las autoridades. No es el proveedor. Eres tú.

Cómo evitar que un proveedor te meta en problemas

Aquí es donde viene la parte práctica. ¿Qué puedes hacer para protegerte?

Lo primero y más importante: no asumas que los proveedores tienen buenas prácticas de ciberseguridad. Pregunta, verifica y, si hace falta, exige.

Antes de compartir cualquier tipo de acceso o información sensible, haz un acuerdo claro sobre seguridad. No se trata solo de un contrato genérico de confidencialidad. Debes asegurarte de que:

• Usen contraseñas seguras y autenticación en dos pasos (si no lo hacen, mal asunto).
• No compartan credenciales sin control (sí, hay empresas donde una sola cuenta de acceso es usada por 20 personas).
• Cifren la información que manejan (porque sí, aún hay quienes mandan datos sensibles por correo sin protección).
• Actualicen constantemente sus sistemas para evitar vulnerabilidades.

Si el proveedor te dice “sí, sí, lo manejamos bien” pero no te muestra pruebas de ello, malas noticias. No es suficiente con que digan que tienen buenas prácticas, debes verlo con tus propios ojos.

Después, viene el control de accesos. No todos los proveedores necesitan acceso a todo. Es más, ningún proveedor debería tener más acceso del necesario.

Si una empresa externa solo necesita acceder a un sistema específico, asegúrate de que no tenga acceso a todo lo demás. Suena básico, pero créeme, es un error común.

También deberías monitorear esos accesos. ¿Quién está entrando? ¿Cuándo? ¿Desde dónde? Si notas actividad sospechosa, actúa de inmediato.

Otro punto clave es la evaluación constante. No basta con revisar al proveedor una vez y olvidarte. Las auditorías de seguridad deben ser regulares. Pide reportes de cumplimiento, revisa si han tenido incidentes previos y mantén comunicación constante sobre temas de seguridad.

Si el proveedor no está dispuesto a demostrar que está cumpliendo con los estándares de seguridad adecuados, pregúntate si realmente vale la pena seguir trabajando con él.

¿Y si algo sale mal?

Porque seamos realistas: por más precauciones que tomes, siempre puede haber un problema. Ninguna estrategia de seguridad es 100% infalible, pero lo que realmente importa es qué tan rápido puedes reaccionar cuando algo ocurre.

Por eso, necesitas un plan de respuesta ante incidentes. ¿Qué significa esto? Que si un proveedor sufre una filtración, debes saber exactamente qué hacer.

• Identifica el problema. ¿Qué datos se vieron comprometidos? ¿Cuánto acceso tenía el proveedor?
• Contacta al proveedor de inmediato. Exige información clara y rápida.
• Notifica a las partes afectadas. Si hay clientes en riesgo, díselo. La transparencia es clave.
• Implementa medidas correctivas. Revisa qué salió mal y ajusta tus protocolos para que no vuelva a pasar.

El tiempo es oro cuando ocurre una filtración. Cuanto más rápido actúes, menor será el daño.

Conclusión

Mira, no se trata de que dejes de trabajar con proveedores ni de que te vuelvas paranoico y pienses que todo el mundo quiere robarte datos. Se trata de ser inteligente.

Hoy en día, todas las empresas trabajan con terceros de alguna forma. Es imposible hacer todo internamente, y está bien. Lo que no está bien es entregarles acceso a información crítica sin asegurarte de que realmente saben cómo protegerla.

La seguridad de tu empresa no solo depende de ti, sino de todos los que tienen acceso a tus datos. Así que, en lugar de asumir que todo está bien, haz preguntas, verifica, controla y, si es necesario, pon límites.

Porque al final del día, si hay una filtración, la responsabilidad será tuya. Y créeme, es mejor invertir tiempo en prevenir que en reparar el daño después.

Así que la próxima vez que trabajes con un proveedor, hazte esta pregunta: ¿Estoy seguro de que protege mis datos como debería? Si no puedes responder con un rotundo “sí”, es momento de tomar medidas. Porque en ciberseguridad, más vale prevenir que lamentar. Y recuerda, si necesitas ayuda con la ciberseguridad de tu empresa, contacta con nosotros.